通过 AJAX 访问 AD 保护的 Azure Function

Question

我有一个带有 Web 触发器端点的 Azure 函数设置，我想将其用作 React 应用程序的后端。没有身份验证设置，它工作正常。当我使用 AD 设置应用服务身份验证时，当我直接通过浏览器访问（身份验证后）时它工作正常，但是当我尝试从提供承载令牌的 JS 访问时，我得到一个 401。

const response = await axios.get(`${window.apiUrl}api/jobs`, {
    headers: {
      'Content-Type': 'application/json',
      Authorization: 'Bearer ' + token.accessToken,
    },
  });

客户端应用程序在 Azure 上运行并注册为 Azure AD 应用程序。我能够成功地进行身份验证、查询 AD 和使用 MS Graph API。

我正在使用内置的 Azure 应用服务 AD 身份验证。我将客户端 ID 设置为与前面提到的 Azure AD 应用程序相同的客户端 ID，以及相同的颁发者 URL。

尝试获取会话令牌：

const accessToken = await authProvider.getAccessToken();
const idToken = await authProvider.getIdToken();
const login = await axios.post(
  'https://<appname>.azurewebsites.net/.auth/login/aad',
    { access_token: accessToken.accessToken },
    {
      headers: {
        'Content-Type': 'application/json',
      },
    },
  );

更多信息

我的 aud 声明是 00000003-0000-0000-c000-000000000000。在 Azure 门户中，我的 Azure Function 配置为使用与我的 SPA 相同的 Azure AD 应用程序。我在我的 SPA 中使用 MSAL.js 进行身份验证。我正在请求 User.Read 和 Directory.Read.All 范围。

Answer 1

Microsoft 发布了一篇名为 Advanced usage of authentication and authorization in Azure App Service 的操作指南文章。在the section on validating tokens from providers 中，它说：

在客户端导向的登录中，应用程序将用户登录到 提供者手动提交认证令牌给 App 验证服务（请参阅Authentication flow）。本次验证 它本身实际上并没有授予您访问所需应用程序资源的权限， 但是成功的验证会给你一个会话令牌，你可以 用于访问应用资源。

所以你需要获取会话令牌才能访问应用资源。

请求：

POST https://<appname>.azurewebsites.net/.auth/login/aad HTTP/1.1
Content-Type: application/json

{"id_token":"<token>","access_token":"<token>"}

回应：

{
    "authenticationToken": "...",
    "user": {
        "userId": "sid:..."
    }
}

获得此会话令牌（authenticationToken）后，您可以通过在 HTTP 请求中添加 X-ZUMO-AUTH 标头来访问受保护的应用资源

GET https://<appname>.azurewebsites.net/api/products/1
X-ZUMO-AUTH: <authenticationToken_value>

Answer 2

您不能为 Microsoft Graph 请求令牌并使用它来调用您自己的 API。受众“00000003-0000-0000-c000-000000000000”表示“适用于 Microsoft Graph”。

在 MSAL 中，当您请求令牌时，您需要调整范围。删除 User.Read，删除 Directory.Read.All 并在其末尾添加带有 /.default 的“应用程序 ID URI”。可以在 portal.azure.com 上应用程序注册的“公开 API”刀片中找到应用程序 ID URI。示例：https://SaeedApp/.default

如果您需要同时执行这两项操作，则一次只能为一个资源请求访问令牌。但是，您可以为一个资源请求任意多个范围（User.Read 和 Directory.Read.All 都是同一资源的范围）。

因此，您需要发出两组请求： 1) 获取具有 Microsoft Graph 所需的所有范围的访问令牌 2) 获取包含 API 所需的所有范围的访问令牌

背后的原因：如果我可以获取一个用于您的 API 的访问令牌并使用它调用 Microsoft Graph，那么这将引发“重放”攻击，其中一个资源 API 被黑客入侵，而控制一个资源的黑客可以现在回复它从客户端收到的所有其他资源 API 的访问令牌。